스패로우 2.5.4, AI 점검 뒤 보안 검증 강화

비트코인(BTC) 데스크톱 지갑 스패로우 월렛(Sparrow Wallet)이 2.5.4 버전에서 거래 검증, 하드웨어 지갑 연결, 권한 관리, 로그 보안 등을 손봤다. 새 기능보다 지갑 소프트웨어의 검증 경로를 강화한 업데이트다.

스패로우 월렛 공식 다운로드 페이지는 27일 2.5.4를 최신 릴리스로 표시했다. 같은 페이지의 매니페스트 서명 시각은 남아프리카표준시 27일 오후 1시30분30초로, 한국시간으로는 27일 오후 8시30분30초다.

깃허브 릴리스 노트에는 같은 버전이 27일 11시53분 공개된 것으로 표시됐다. 공개 뒤 마스터 브랜치 기준 1개 커밋이 이어진 상태다.

크레이그 로(Craig Raw) 스패로우 월렛 개발자는 디크립트(Decrypt)에 AI 보조 코드 점검이 이번 릴리스 수정의 “대부분”을 만들었다고 말했다. 그는 사용한 AI 모델명은 공개하지 않았다.

로 개발자는 “자금 위험으로 이어질 가능성이 있는 문제는 발견되지 않았다”고 말했다. 그는 각 이슈를 직접 확인했고, 여러 독립 AI 점검도 거쳤다고 설명했다.

수정 항목은 하드웨어 지갑 연결, 거래 검증, 권한 관리, 로그 처리로 넓게 퍼졌다. 릴리스 노트는 비트박스02(BitBox02)에서 안티 클렙토 보호를 항상 요구하고 최소 펌웨어 버전을 9.4.0으로 올렸다고 밝혔다.

렛저(Ledger)가 저장된 등록을 거부할 경우 지갑 정책을 다시 등록하고 재시도하는 절차도 포함됐다. 키카드(Keycard) 응답에서는 잘린 TLV 길이나 과도한 TLV 길이를 거부하도록 바뀌었다.

거래 확인 절차도 강화됐다. 스패로우 월렛은 서버에서 가져온 거래가 요청한 TXID와 일치하는지 확인하고, 검증된 블록 헤더 저장소를 유지하며, 머클 포함 증명과 체인 팁의 작업증명을 확인하도록 했다.

이는 외부 서버가 제공하는 데이터에 대한 신뢰 의존을 줄이는 방향이다. 통상 데스크톱 지갑은 노드나 서버에서 받은 거래·블록 정보를 바탕으로 잔액과 거래 상태를 보여주기 때문에, 검증 절차가 느슨하면 잘못된 데이터에 노출될 수 있다.

개인정보와 운영 환경 관련 수정도 들어갔다. 기존 지갑과 백업 디렉터리는 소유자 권한으로 제한하도록 확인하고, 비트코인 코어(Bitcoin Core) 인증 정보와 트레저(Trezor) 디버그 로그의 민감 정보는 가리도록 했다.

토르(Tor) 사용 때 로컬 DNS 해석 공백을 줄이는 항목도 포함됐다. 지갑 소프트웨어에서 로그와 네트워크 경로는 자금 이동 자체만큼이나 이용자 식별과 운영 보안에 영향을 줄 수 있는 영역이다.

이번 업데이트는 콜드카드(Coldcard) 보안 이슈 뒤 비트코인 지갑 생태계가 코드 검증 방식을 다시 보는 흐름과 맞물렸다. 코인카이트(Coinkite)는 보안 상태 페이지에서 현재 표준 펌웨어가 추가 보안 통제를 포함한다고 밝혔다.

다만 코인카이트는 영향을 받은 펌웨어에서 이미 생성된 시드는 펌웨어 업데이트만으로 복구되지 않는다고 못 박았다. 본지는 앞서 콜드카드 기존 시드는 펌웨어 수정 뒤에도 이전이 필요하다고 보도한 바 있다.

스패로우 월렛은 공식 소개에서 보안과 프라이버시를 전면에 둔 비트코인 데스크톱 지갑이라고 설명한다. 국내에서도 스패로우 월렛을 사칭한 가짜 앱 피해가 미국 소송으로 번진 사례가 있었다.

이번 2.5.4 업데이트는 사칭 앱 문제가 아니라 공식 데스크톱 소프트웨어의 검증 경로와 연결 장치를 다룬다. 공개 반응은 기술 사용자 중심으로 제한적이었고, 비트코인토크(Bitcointalk) 이용자는 이번 버전을 보안과 신뢰성 업데이트로 평가하며 적용할 만하다는 의견을 냈다.

깃허브 릴리스에는 초기 수집 기준 3개 반응이 달렸다. 시장 가격이나 이용자 자금 이동에 직접 영향을 줬다는 별도 지표는 제시되지 않았다.